Politique de confidentialité

1. Responsable du traitement

Responsable du traitement au sens du Règlement général sur la protection des données (RGPD) :

2. Informations générales

(1) La présente politique de confidentialité vous informe sur la nature, l'étendue et la finalité du traitement des données à caractère personnel au sein de notre logiciel « BISpicy Warenwirtschaft » et des services en ligne associés.

(2) Base juridique :

• Règlement général sur la protection des données (RGPD)
• Loi fédérale allemande sur la protection des données (BDSG)
• Loi allemande sur les télémédias (TMG)

3. Collecte et traitement des données à caractère personnel

3.1 Lors de l'inscription et de la création de compte

Quelles données sont collectées ?

• Adresse e-mail (obligatoire)
• Mot de passe (stocké de manière chiffrée)
• Nom et adresse de l'entreprise
• Horodatage de l'inscription

Base juridique : art. 6, par. 1, point b) RGPD (exécution du contrat)

Durée de conservation : jusqu'à la suppression du compte + 30 jours

3.2 Lors de l'utilisation du logiciel

Quelles données sont traitées ?

• Données d'articles (produits, prix, stock)
• Données clients (noms, adresses, coordonnées)
• Données de commande (commandes, livraisons, factures)
• Données d'utilisation (heures de connexion, activités)

Remarque : ces données sont traitées pour le compte du client (contrat de sous-traitance conformément à l'art. 28 RGPD).

Diagnostic des incidents (journaux d'erreurs) : afin de détecter et de corriger les incidents techniques, nous enregistrons les événements d'erreur issus de l'exploitation du serveur et du navigateur de l'utilisateur (message d'erreur, chaîne d'appels technique, horodatage, page consultée, identification du navigateur, identifiant utilisateur). Les identifiants de connexion, les jetons et les informations de paiement sont automatiquement masqués avant l'enregistrement. Un enregistrement détaillé à des fins de dépannage, allant au-delà des événements d'erreur, n'a lieu que pour une durée limitée (72 heures au maximum), uniquement sur instruction expresse assortie d'un motif documenté, et prend fin automatiquement. Base juridique : art. 6, par. 1, point f) RGPD (intérêt légitime à un fonctionnement sans incident) ou art. 28 RGPD dans le cadre de la sous-traitance. Durée de conservation : événements d'erreur 14 jours, autres données techniques d'exploitation 3 jours ; suppression automatique ensuite.

Achat d'appareils (§25a UStG / régime de la marge) : Lors de l'achat d'appareils d'occasion (p. ex. en boutique de téléphonie), afin de satisfaire à l'obligation légale d'enregistrement (livre d'achat conformément au §25a UStG en liaison avec la loi allemande contre le blanchiment d'argent), nous conservons les données du vendeur – nom, adresse, numéro de pièce d'identité et numéro de téléphone – ainsi que les données de l'appareil (IMEI/numéro de série, prix d'achat et de vente). Base juridique : art. 6, par. 1, point c) RGPD (respect d'une obligation légale). L'accès est limité aux employés autorisés.

Envoi de reçus, de factures et de rapports par e-mail : Sur demande, nous envoyons des tickets de caisse, des reçus numériques et des factures (p. ex. depuis l'application de caisse connectée) par e-mail à l'adresse e-mail communiquée par le client. Les exploitants et les employés autorisés peuvent en outre se faire adresser des rapports, des analyses et des documents à une adresse e-mail qu'ils configurent eux-mêmes (export par e-mail). Nous traitons l'adresse e-mail concernée uniquement pour l'envoi du document demandé. Base juridique : art. 6, par. 1, point b) RGPD (exécution du contrat) ou point f) RGPD (intérêt légitime à la remise demandée) ; lorsque l'envoi du reçu a lieu à la demande volontaire du client, il repose sur son consentement conformément à l'art. 6, par. 1, point a) RGPD. La transmission s'effectue uniquement vers notre serveur ou vers le prestataire de messagerie configuré par l'exploitant (sous-traitant pour le seul envoi) ; aucune communication à des tiers à leurs propres fins n'a lieu. Durée de conservation : uniquement aussi longtemps que nécessaire à l'envoi ou à la conservation légale du document.

4. Transmission de données à des tiers

(1) Principe : vos données ne sont divulguées à des tiers que si :

• Vous avez donné votre consentement (art. 6, par. 1, point a) RGPD)
• Cela est nécessaire à l'exécution du contrat (art. 6, par. 1, point b) RGPD)
• Il existe une obligation légale (art. 6, par. 1, point c) RGPD)

(2) Destinataires des données :

Destinataire	Finalité	Localisation	Base juridique
DigitalOcean LLC	Hébergement (BIS ERP, base de données, sauvegardes cloud dans Spaces)	Francfort (UE)	Art. 6, par. 1, point b) RGPD
Cloudflare, Inc. (mandaté par DigitalOcean)	Proxy inverse et réseau de diffusion de contenu (diffusion des pages web, données de connexion/IP) — mandaté par DigitalOcean en tant que sous-traitant ultérieur de l'App Platform ; aucune relation contractuelle distincte avec le sous-traitant	UE/États-Unis (clauses contractuelles types)	Art. 6, par. 1, point f) RGPD
Stripe Payments Europe Ltd.	Traitement des paiements de la licence logicielle	Dublin (UE)	Art. 6, par. 1, point b) RGPD
Transporteurs (DHL, DPD, GLS, Hermes, UPS, FedEx)	Création d'étiquettes d'expédition, track & trace	UE	Art. 6, par. 1, point b) RGPD
Places de marché et boutiques (Amazon, eBay, Etsy, Shopify, Magento, WooCommerce, Shopware) — uniquement si activées	Synchronisation des commandes et des articles	UE / monde entier	Art. 6, par. 1, point b) RGPD (sur instruction du responsable du traitement)
Google LLC (Firebase Cloud Messaging)	Notifications push vers les caisses connectées (aucun contenu personnel)	UE/USA (clauses contractuelles types)	Art. 6, par. 1, point f) RGPD
Anthropic PBC (uniquement en cas d'utilisation des fonctions IA)	Reconnaissance assistée par IA des factures fournisseurs, création d'articles par IA, repricing par IA (non utilisées pour l'entraînement des modèles)	USA (clauses contractuelles types)	Art. 6, par. 1, points b)/f) RGPD en liaison avec l'art. 46 RGPD
Fiskaly GmbH (uniquement en cas d'intégration de caisse active)	Signature cloud TSE (KassenSichV / RKSV)	Allemagne / Autriche	Art. 6, par. 1, point c) RGPD (obligation légale)

La liste complète des sous-traitants et sous-traitants ultérieurs avec leurs localisations et finalités figure dans le contrat de sous-traitance (AVV).

4.1 BIS AI Bridge : connexion à votre propre IA

La BIS AI Bridge est un programme qui s'exécute sur votre propre ordinateur et relie votre base de données JTL à un service d'IA de votre choix (par exemple Claude, ChatGPT ou Cursor). Une séparation claire s'applique :

• Le contenu de votre base de données ne nous parvient pas. Les requêtes circulent exclusivement entre votre ordinateur et votre service d'IA. Nous n'y avons accès à aucun moment et n'en conservons rien.
• Nous ne traitons que des données de licence : clé de licence, identifiant d'appareil, nom de l'ordinateur, version du programme et nombre d'appels par mois. La base juridique est l'art. 6, par. 1, point b du RGPD (exécution du contrat).
• Votre fournisseur d'IA n'est pas notre sous-traitant ultérieur. Vous le choisissez vous-même et concluez le contrat avec lui. Vous êtes responsable de ce transfert au regard de la protection des données — veuillez vérifier les conditions du fournisseur, notamment si vos saisies servent à l'entraînement de modèles.
• Le journal d'accès reste chez vous. Chaque requête est consignée sur votre ordinateur ; ce fichier ne nous est pas transmis.

Exception — accès via les chats de navigateur : si vous reliez la passerelle à un service d'IA dans le navigateur (par exemple claude.ai ou ChatGPT), celui-ci ne peut pas démarrer de programme sur votre ordinateur. Dans ce cas, la requête transite par nos serveurs : nous la transmettons à BISConnect installé sur votre ordinateur, qui l'adresse à votre base de données, puis nous renvoyons le résultat à votre service d'IA. Dans ce cas :

• Nous traitons la requête et son résultat en qualité de sous-traitant au sens de l'art. 28 du RGPD — comme pour les autres fonctions de BIS ERP. Le contrat de sous-traitance conclu avec vous s'applique.
• Le résultat est supprimé immédiatement après sa remise et n'est pas conservé durablement.
• Vous décidez vous-même de la voie à utiliser. Si vous souhaitez que vos données n'atteignent jamais nos serveurs, utilisez un programme d'IA sur votre ordinateur (par exemple Claude Desktop ou Cursor) — la voie locale décrite ci-dessus s'applique alors.

5. Vos droits en tant que personne concernée

6. Sécurité des données

Nous avons mis en œuvre des mesures techniques et organisationnelles étendues :

• Chiffrement : TLS 1.3 pour toutes les transmissions de données
• Contrôles d'accès : droits basés sur les rôles
• Sauvegardes : sauvegardes automatiques quotidiennes
• Hébergement : centres de données de l'UE

7. Contact

Pour toute question relative à la protection des données, veuillez contacter :